STAGE 6 · Lv.28

WordPress 보안 베스트 프랙티스

일반적인 보안 취약점, 무차별 대입 공격 방지, 파일 권한 설정, wp-config 보안 강화, 데이터베이스 접두사 변경까지 WordPress 보안의 모든 것을 배웁니다.

WordPress 보안의 현실

왜 WordPress가 해커의 표적이 되는가?

WordPress는 전 세계 웹사이트의 43% 이상을 차지하는 가장 인기 있는 CMS입니다. 이런 높은 시장 점유율은 동시에 해커들에게 매력적인 표적이 됩니다. 하나의 취약점을 발견하면 수백만 개의 사이트를 공격할 수 있기 때문입니다.

하지만 WordPress 코어 자체는 매우 안전합니다. 보안 문제의 대부분은 다음 원인에서 발생합니다:
- 오래된 버전 사용: 업데이트하지 않은 WordPress, 테마, 플러그인
- 약한 비밀번호: 단순하거나 쉽게 추측 가능한 비밀번호
- 취약한 플러그인: 보안이 취약하거나 관리되지 않는 플러그인
- 잘못된 서버 설정: 파일 권한, PHP 설정 등의 미흡한 설정
- 보안 인식 부족: 기본적인 보안 수칙을 지키지 않는 것

🔒

97%

플러그인/테마에서 발생하는 취약점 비율

🔐

81%

약한 비밀번호로 인한 해킹 비율

💥

30,000+

매일 해킹되는 웹사이트 수

⏱

39초

해킹 시도 평균 간격

1. 일반적인 WordPress 보안 취약점

SQL 인젝션 (SQL Injection)

악의적인 SQL 쿼리를 입력 필드를 통해 데이터베이스에 주입하는 공격입니다. 이를 통해 데이터 유출, 삭제, 관리자 권한 탈취 등이 가능합니다. WordPress의 $wpdb->prepare() 함수를 사용하면 SQL 인젝션을 방지할 수 있습니다. 직접 쿼리를 작성할 때는 반드시 매개변수 바인딩을 사용하세요.

XSS (Cross-Site Scripting)

악의적인 JavaScript 코드를 웹페이지에 삽입하여 방문자의 브라우저에서 실행하는 공격입니다. 쿠키 탈취, 세션 하이재킹, 피싱 등에 사용됩니다. WordPress의 esc_html(), esc_attr(), wp_kses() 등의 이스케이프 함수를 사용하여 출력 데이터를 필터링해야 합니다.

무차별 대입 공격 (Brute Force Attack)

가능한 모든 비밀번호 조합을 자동으로 시도하여 로그인을 뚫는 공격입니다. WordPress의 기본 로그인 페이지(/wp-login.php)는 로그인 시도 횟수 제한이 없어 이 공격에 취약합니다. 로그인 시도 제한, CAPTCHA, 2단계 인증 등으로 방어할 수 있습니다.

CSRF (Cross-Site Request Forgery)

인증된 사용자의 브라우저를 이용하여 의도하지 않은 요청을 보내는 공격입니다. WordPress는 nonce(넌스) 시스템으로 CSRF를 방지합니다. 폼이나 AJAX 요청에 wp_nonce_field()와 check_admin_referer()를 반드시 사용해야 합니다.

파일 인클루전 (File Inclusion)

취약한 코드를 통해 서버의 파일을 읽거나 원격 파일을 실행하는 공격입니다. PHP의 include, require 함수에 사용자 입력이 직접 들어가면 위험합니다. 파일 경로를 하드코딩하거나 화이트리스트로 검증해야 합니다.

🔒

여기까지는 미리보기입니다

WordPress 보안 베스트 프랙티스
무료 가입하면 이어서 볼 수 있고, 강의를 완료할 때마다 XP와 레벨이 쌓입니다.

Google로 3초 만에 시작 →🧵 Threads로 시작 무료 공개 강의 둘러보기 (Lv.1~3)